- Son 7 gün
- CWE-441
CVE-2026-58970
Google Android AppTimeTracker deliverResult içinde yetki yükseltmeye yol açan arka plan etkinlik başlatma açığı
- Yayımlandı
- Güncellendi
- 3 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- google_android
Yönetici özeti
Bu açık, cihazdaki bir uygulamanın yetkisiz işlemler yapmasına izin verebilir ve kötü niyetli bir uygulamanın cihaz üzerinde daha fazla kontrol kazanmasına yol açabilir. Kullanıcı müdahalesi gerektirmediği için risk yüksektir ve etkilenen cihazların hızlıca güncellenmesi önerilir.
ÖzetTürkçe
AppTimeTracker.java dosyasındaki deliverResult fonksiyonunda, karıştırılmış vekil (confused deputy) sorunu nedeniyle arka planda etkinlik başlatılabilmektedir. Etkilenen sürümler Google Android 14, 15, 16, 16-qpr2 ve 17'dir. Açık için kullanıcı etkileşimi gerekmemektedir.
Saldırgan ne yapabilir?
Yerel bir saldırgan, ek yürütme yetkisine ihtiyaç duymadan ayrıcalıklarını yükseltebilir ve cihazdaki verilerin gizliliğini, bütünlüğünü ve erişilebilirliğini etkileyebilir.
Kaynaktaki açıklama (İngilizce)
In deliverResult of AppTimeTracker.java, there is a possible background activity launch due to a confused deputy. This could lead to local escalation of privilege with no additional execution privileges needed. User interaction is not needed for exploitation.
Ne yapmalı?
- Cihazınızı Google'ın yayımladığı en son Android güvenlik güncellemesine yükseltin. Açık, Android 14, 15, 16, 16-qpr2 ve 17 sürümlerinde giderilmiştir. Genel öneri
- Güncelleme henüz sunulmadıysa cihaz üreticinizin veya taşıyıcınızın yayımladığı güvenlik yamalarını kontrol edin ve uygulayın. Genel öneri
- Güncelleme uygulanana kadar bilinmeyen kaynaklardan uygulama yüklemeyin ve güvenilmeyen uygulamaları cihazdan kaldırın. Genel öneri
Ek önlemler
- Cihaz güvenlik yamalarının düzenli olarak uygulandığını izleyin ve eski Android sürümlerini kullanan cihazları envanterinizden takip edin. Genel öneri
- Kurumsal cihazlarda uygulama kurulumunu yalnızca onaylı kaynaklarla sınırlayın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Google Android | 17 | – |
| 16-qpr2 | – | |
| 16 | – | |
| 15 | – | |
| 14 | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- CVSS puanı değişti: – → 8.4
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.